Under lång tid kunde en ledningsgrupp hantera regelefterlevnad genom att utse någon. Den möjligheten har smalnat. Flera av de regelverk som fasats in de senaste åren pekar på ledningsorganet som sådant, och några av dem säger uttryckligen att det inte räcker att ha delegerat – ni ska ha godkänt, ni ska följa upp, och ni ska förstå vad ni godkände.
Vad som pekar direkt på er
- NIS2: ledningsorganet ska godkänna riskhanteringsåtgärderna, övervaka genomförandet och genomgå utbildning i cybersäkerhet.
- AI-förordningen: arbetsgivaren ska säkerställa tillräcklig AI-kunnighet hos personalen – en skyldighet som förutsätter ett beslut om hur.
- Cyber Resilience Act: den som sätter en produkt på marknaden under eget namn bär tillverkarens ansvar, oavsett vem som byggde den.
- Avskogningsförordningen: tillbörlig aktsamhet ska utövas och kunna redovisas, vilket kräver en beslutad rutin och en ansvarig.
- Genomgående: kravet på att kunna visa upp arbetet, vilket i praktiken är ett krav på styrning snarare än på teknik.
Vad som står på spel
- 2 %
- av global omsättning – NIS2:s tak för väsentliga entiteter
- 1,4 %
- motsvarande tak för viktiga entiteter
- 24 h
- till första underrättelse när en incident inträffat
Att godkänna något man inte förstår
Formuleringen i NIS2 om att ledningen ska genomgå utbildning är ovanlig i lagstiftning, och den finns där av ett skäl: åtgärder som godkänns av någon som inte kan bedöma dem blir symboliska. Ett protokollfört godkännande skyddar er inte om ni inte kan redogöra för vad ni godkände.
En halvdag för hela gruppen
Det praktiska svaret är sällan en utredning. Det är att ledningsgruppen går samma webbkurs, i egen takt, och sedan ägnar ett möte åt att besluta vad som gäller hos er. Utbildningen ger det gemensamma underlaget; beslutet är fortfarande ert.
Vanliga frågor
- Gäller det styrelsen eller ledningsgruppen?
- NIS2 talar om ledningsorgan, vilket i en svensk aktiebolagsstruktur i praktiken omfattar både styrelse och verkställande ledning beroende på hur ansvaret är fördelat hos er. Att båda har gått igenom materialet är det säkra svaret.
- Vi har en säkerhetschef. Räcker inte det?
- För arbetet, ofta. För kravet, nej – det är riktat mot ledningsorganet och kan inte fullgöras av någon annan. En säkerhetschef som är ensam om förståelsen är dessutom en risk i sig.
- Hur dokumenterar vi att vi har gjort det?
- Kursintyget med sitt nummer är en del av svaret. Den andra delen är ert eget protokoll, där det framgår vad ni beslutade efteråt – ett intyg utan ett beslut visar bara att någon läste.
Låt hela ledningsgruppen gå samtidigt
Köp licenser till gruppen och fördela dem i portalen. Alla går i egen takt, ni diskuterar på nästa möte.
Se utbildningarna
